如何查看grep在.so等二进制文件中匹配到的可读字符串内容

grep检索二进制文件的原理 #

grep本身不会严格区分文本文件和二进制文件的检索逻辑：它会把所有输入文件的内容都当做连续的字节流，逐字节和你输入的检索字符串的编码（默认是当前终端的字符编码，通常为UTF-8/ASCII）做匹配。
即使是.so这类二进制文件，只要内部存在一段连续的字节序列，刚好和my string的编码完全一致，grep就会判定该文件匹配。默认情况下如果grep判定文件是二进制格式，加-l参数时只会输出文件名，不会输出具体匹配内容，这也是你只拿到文件列表看不到匹配内容的原因。

提取匹配的可读内容的方法 #

你可以用以下几种方法直接拿到可读的匹配内容，不会输出二进制乱码：

• 直接用grep强制读取二进制内容
  给grep加上-a参数即可强制将二进制文件当做文本文件处理，跳过不可打印字符输出匹配内容：

  # 输出所有包含'my string'的内容行
  grep -a 'my string' 目标文件路径.so
  # 同时输出匹配内容前后各3行的上下文内容，方便查看关联信息
  grep -a -C 3 'my string' 目标文件路径.so
  

• 用strings命令先提取所有可读字符串再过滤
  strings是专门用于从二进制文件中提取可打印字符串的工具，直接过滤它的输出即可得到纯可读的匹配结果：

  # 直接输出匹配的可读字符串
  strings 目标文件路径.so | grep 'my string'
  # 同时输出该字符串在二进制文件中的十六进制偏移地址，方便定位
  strings -t x 目标文件路径.so | grep 'my string'
  

• 精准定位匹配位置
  如果需要获取匹配内容的精确字节偏移用于后续处理，可以使用以下命令：

  grep -obUa 'my string' 目标文件路径.so
  

  其中-o表示只输出匹配到的内容本身，-b会输出匹配内容在文件中的字节偏移量，-U会保留二进制文件的原始换行逻辑不做转义。

内容的提问来源于stack exchange，提问作者Paul